Virtualus pfSense TAP tiltas: trys vietos, kuriose kadras gali žūti

Išjungiate taisyklę LAN sąsajoje, kadras vis tiek dingsta, ir išvada tokia, kad pfSense nepaiso savo paties užkardos. Dažniausiai įvyko tai, kad sprendimą priėmė kitas savininkas: pats tiltas, nario sąsaja arba virtualus komutatorius už svečio ribų. Kiekvienas turi savo valdiklį ir savo žurnalą.

Tris žemiau nurodytas ribas verta atskirti prieš keičiant nustatymą, nes vienos išjungimas negali kompensuoti kitos.

Vienas kadras, trys politikos savininkai

Kadras iš TAP kliento patenka per tunelio įrenginį, kerta pfSense tiltą, išeina per LAN narį ir tada, prieš ką nors pasiekdamas, praeina virtualų komutatorių. Svečio viduje filtravimas gali vykti tilte arba nario sąsajose, o kuri aktyvi yra konfigūracijos pasirinkimas, o ne pastovi savybė. Už svečio ribų hipervizorius nusprendžia, ar tas virtualus adapteris gali siųsti kadrus su šaltinio MAC, kuris jam nepriklauso. Numetimas bet kuriame iš tų taškų iš kliento pusės atrodo vienodai.

Prieš tyrimą užsirašykite numatytą kelią: tunelio narys, tiltas, LAN narys, virtualus komutatorius, paskirties vieta. Tada paklauskite, kuris savininkas tame kelyje būtų matęs kadrą.

Kuris pfSense valdiklis filtruoja

pfSense dokumentuoja du sysctl tam, vieną filtravimui tilto nariuose ir vieną filtravimui pačiame tilte, ir bent vienas iš jų turi likti įjungtas. Tilto lygmens filtravimas taikomas srautui, kuris ateina per tilto narius, todėl pagal kryptį jis yra įeinantis, o ne simetriškas. Skaitykite taisykles sąsajoje, kuri tikrai filtruoja, nes taisyklė, nustatyta nariui be filtravimo vaidmens, nedaro visiškai nieko. Tilto filtravimo dokumentacija paaiškina nuosavybę.

Nario sąsaja be IP adreso neturi savo adreso ar potinklio makro, todėl taisyklė, parašyta prieš tą makro, gali apibūdinti ką kita nei numatytas LAN. Naudokite sąmoningai priskirtus tinklo objektus vietoj patogumo makro.

Fragmentas nėra kadras

Ethernet kadrai perneša IP paketus, o IP paketas gali būti didesnės datagramos fragmentas, todėl šie du žodžiai nėra keičiami. Tunelio viduje taip pat yra vidinis paketas, o už jo yra išorinis transporto paketas, ir gedimas gali priklausyti bet kuriam iš jų. Mažas ping išbando vieną kelią per tą steką ir nieko neįrodo apie didelį perdavimą. Palyginkite nepavykusį mainą dviejose gretimose ribose ir perskaitykite numetimo priežastį, prieš kaltindami taisyklę.

Jei fragmentai dingsta, atsakymas yra apribota pataisa arba paketo dydžio tyrimas, o ne sprendimas visiškai išjungti filtravimą.

Hipervizorius turi savo priėmimo sprendimą

Svečias, kuris tiltina srautą kitoms mašinoms, siunčia kadrus, kurių šaltinio MAC adresai nėra jo paties adapterio, ir daugelis virtualių komutatorių tai laiko klastojimu, nebent prievadų grupė leidžia. Leisti tą perdavimą ir leisti adapteriui priimti kiekvieną kadrą yra atskiri valdikliai, o abu įjungti visur yra daug didesnis pakeitimas, nei reikalauja problema. Nustatykite, kuriuos kadrus tiltas turi priimti ir turi siųsti, tada suteikite tik tą elgesį toje riboje, kuri jam priklauso. Išsaugokite konsolės prieigą prieš keisdami nuotoliniu būdu valdomą tiltą.

Ryšio atkūrimas yra pusė testo; kita pusė yra patvirtinti, kad srautas, kuris turi likti užblokuotas, vis dar užblokuotas.

Užsirašykite, kuris savininkas filtruoja, kuris valdiklis pakeistas ir kuriuos du srautus patikrinote. Tas įrašas neleidžia kitam incidentui prasidėti nuo tos pačios prielaidos, kad pfSense nepaiso savęs.